Gold for Goal : Augmentation significative des normes de code sécurisé de Paysafe

Paysafe s'engage à transformer les transactions financières en une expérience fondée sur la confiance et reconnaît que le simple respect des normes de conformité de base ne suffit pas pour fournir une plateforme sécurisée et transparente qui traite plus de 152 milliards de dollars de transactions par an.Au cours des quatre dernières années, Paysafe a continué à promouvoir une approche globale de la gestion des risques pour les développeurs grâce à son partenariat avec Secure Code Warrior. Son programme de sécurité des applications a démontré son impact positif sur l'ensemble des besoins commerciaux suivants :

En tant que fournisseur multinational de services de paiement en ligne, Paysafe a toujours considéré le codage sécurisé comme une priorité stratégique qui va au-delà de la simple conformité aux exigences PCI DSS. Des sessions de formation en classe dispensées par des experts et des évaluations des compétences faisaient partie des initiatives initiales.l'objectif de Paysafe a toujours été d'étendre continuellement la portée et l'ampleur de son initiative de codage sécurisé afin de garantir une approche de premier ordre en matière de sécurité des applications et de permettre aux ingénieurs de créer des codes sécurisés dès le départ.

« Pour nous, offrir des formations ne se résumait pas simplement à cocher une case. Notre objectif était d'informer constamment le personnel de l'état d'avancement du développement. Nous nous efforçons toujours de nous améliorer et d'en faire davantage. Nous souhaitons que les équipes d'ingénierie et de sécurité collaborent. Une équipe capable de développer elle-même peut obtenir davantage d'informations et concevoir un code de meilleure qualité », explique Boyan Hristov, partenaire en développement des ressources humaines chez Paysafe.

La vision de Paysafe était de former des ingénieurs sensibilisés à la sécurité, capables de déplacer la sécurité vers la gauche et d'intégrer des pratiques de codage sécurisées à toutes les étapes du cycle de vie du développement logiciel. Pour soutenir cette vision, il était nécessaire de mettre en place un programme évolutif, attrayant et continu, capable de favoriser un changement culturel profond et durable. Cela impliquait de créer un programme ludique pour attirer les développeurs et les inciter à rester à la pointe des tendances en matière de sécurité dans le secteur.un programme évolutif, attrayant et continu, susceptible de favoriser un changement culturel profond et durable. Cela comprenait une expérience d'apprentissage ludique, des tournois réguliers et des formations continues afin d'attirer les développeurs et de les inciter à rester à la pointe des tendances en matière de sécurité dans le secteur.

Solution : une approche de pointe par des codeurs sécurisés

Paysafe a adopté la plateforme de gestion des risques des développeurs Secure Code Warrior afin de favoriser l'adoption de pratiques de codage sécurisées, l'implication des ingénieurs et l'intégration de la sécurité dès les premières étapes du cycle de vie du développement. Le programme de champions de la sécurité de l'entreprise s'est développé au fil du temps, et Secure Code Warrior a joué un rôle essentiel dans la réalisation des objectifs de prévention des cyberrisques.

Paysafe a permis aux développeurs de s'engager de manière organique avec la plateforme et a encouragé la participation et l'enthousiasme des développeurs en proposant des activités ludiques telles que des tournois avec des prix attractifs. Lorsque ce programme a été lancé pour la première fois, plusieurs évaluations étaient obligatoires afin de répondre aux exigences de conformité PCI, et d'autres contenus et activités étaient proposés en option.

À mesure que le programme gagnait en ampleur, la direction a fourni un soutien supplémentaire et a davantage harmonisé les objectifs des équipes de développement et de sécurité de l'information. Cela a permis à l'équipe Paysafe de faire passer le programme au niveau supérieur et de mettre en place un programme de certification plus officiel, assorti d'indicateurs de performance clés (KPI) et d'incitations à la réussite.

Dans la phase suivante du programme, nous avons mis l'accent sur les 10 principaux thèmes OWASP, qui constituent la norme dans le secteur, et avons mis en place des étapes de certification permettant aux développeurs d'atteindre différents niveaux de réussite. À l'heure actuelle, ce programme a atteint une nouvelle dimension et un nouveau degré de maturité, et les normes de base pour les développeurs, qu'ils soient employés permanents ou intérimaires, ont été globalement relevées.

Nous apprécions grandement le partenariat que nous avons établi avec SCW au cours des quatre dernières années. Alan Osborne, directeur de la sécurité de l'information chez Paysafe, a déclaré : « Cela nous a permis de fournir une formation ciblée sur la sécurité des applications et de renforcer les relations entre les équipes de sécurité et d'ingénierie, grâce à un engagement commun visant à développer des codes sécurisés dès le début du cycle de vie du développement logiciel (SDLC) et à les développer le plus tôt possible. »

Grâce au soutien continu et à la collaboration des responsables de la sécurité des systèmes d'information, des directeurs techniques et des cadres dirigeants du domaine de l'ingénierie, Paysafe a continué à faire évoluer le programme en partenariat avec Secure Code Warrior. Aujourd'hui, ce programme reste étroitement lié aux besoins de l'entreprise, produit des résultats tangibles et continue d'être pertinent et attrayant pour les équipes internes.

Résultat : Nouvelles normes pour la mise en œuvre d'un code sécurisé à l'échelle de l'organisation

L'engagement de Paysafe en matière de sécurité des applications s'est amélioré depuis son lancement il y a quatre ans. Grâce à son partenariat avec Secure Code Warrior, Paysafe a démontré qu'une approche globale de la gestion des risques liés aux développeurs peut avoir un impact significatif à l'échelle de l'organisation.

L'analyse des données de scan SAST par Paysafe a démontré que les applications développées par les équipes formées à Secure Code Warrior présentaient une réduction significative des vulnérabilités détectées lors des scans effectués au début du développement. Le nombre de vulnérabilités identifiées lors du premier scan a encore diminué pour les équipes dont les développeurs étaient activement impliqués dans la plateforme SCW.

Les équipes Secure Code Warrior les plus actives et les plus engagées ont constaté une réduction significative des vulnérabilités détectées au début du développement par rapport à l'année précédente.Cela a mis en évidence la valeur ajoutée d'une formation continue axée sur les compétences pour renforcer les pratiques de codage sécurisé. En créant un code sécurisé dès le départ, leur équipe et les autres équipes impliquées dans le cycle de vie du développement logiciel (SDLC) ont réalisé d'importants gains de temps. En prévenant les vulnérabilités dès les premières étapes du développement, il n'a pas été nécessaire d'identifier, de documenter et de corriger les vulnérabilités du code, ce qui a permis d'économiser des milliers d'heures de développement.En conséquence, la productivité des développeurs a augmenté de 45 %, démontrant les avantages de l'amélioration des compétences en matière de code sécurisé et du processus de développement quotidien. Cela présente des avantages tant pour l'équipe d'ingénierie que pour l'équipe de sécurité des applications.

Grâce à son engagement sans faille en faveur du code sécurisé, Paysafe s'est distingué et s'est classé quatrième au classement SCW Trust^{Score® dans la catégorie des services bancaires et financiers} . Bien que ce soit un résultat dont l'entreprise est fière, l'engagement de Paysafe envers l'initiative Secure Code ne s'arrête pas là. Encouragé par les résultats obtenus grâce à son partenariat avec Secure Code Warrior, Paysafe vise à améliorer encore davantage son programme.

Alan Osborne, directeur de la sécurité informatique chez Paysafe, a déclaré : « Grâce à Secure Code Warrior, nous avons pu améliorer la productivité des développeurs, accélérer la mise sur le marché de nos produits et améliorations, et réduire considérablement les coûts et les risques au fil du temps.« Le codage sécurisé, favorisé par une formation renforcée des développeurs, s'est avéré être un investissement éprouvé qui permet non seulement d'améliorer les compétences, l'expérience et les capacités des développeurs, mais aussi de générer un véritable retour sur investissement. »

Ensuite, Paysafe vise à renforcer davantage ses normes de sécurité en intégrant des mesures supplémentaires de gouvernance et de gestion des risques dans ses processus. SCW Trust Agent renforce son partenariat de longue date avec Secure Code Warrior et démontre son engagement en faveur de l'excellence en matière de cybersécurité.